Windows Server 2012 密碼細粒度原則 (FGPP) 部署實戰：從失敗嘗試到正確配置

企業常需對管理員與一般使用者套用不同密碼複雜度/長度/存活期策略。早期嘗試透過「不同 OU 連結不同 GPO 設定密碼策略」卻發現無效——單一網域僅能有一套生效的密碼策略，且必須在網域層級設定。OU 層級的密碼策略僅影響該 OU 內電腦的本地帳戶。Windows Server 2008 引入「細粒度密碼原則」(FGPP)，Server 2012 透過「Active Directory 管理中心」(ADAC) 大幅簡化設定流程。本文記錄從錯誤嘗試到正確部署的完整實驗過程。

第一部分：錯誤嘗試 —— OU 層級 GPO 設定密碼策略

實驗環境

• DC1：Windows Server 2012 R2 網域控制器
• SVR1：加入網域的成員伺服器
• 測試帳戶：管理員帳戶 admin（Domain Admins）、一般使用者 user（Domain Users）、SVR1 本地帳戶 Tom

配置過程

1. 建立三個 GPO：Default Domain Policy（網域層）、管理員 GPO（連結至管理員 OU）、一般使用者 GPO（連結至一般使用者 OU）。
2. 分別設定密碼最小長度：網域 10 碼、管理員 OU 8 碼、一般使用者 OU 6 碼。
3. 執行 gpupdate /force 更新策略。

驗證結果

• 重設 admin 密碼為 8 碼 → 失敗（提示不符合 10 碼最小長度）。
• 重設 user 密碼為 6 碼 → 失敗（同樣要求 10 碼）。
• 重設 admin/user 為 10 碼 → 成功。
• 結論： 僅網域層級密碼策略對網域使用者生效。

意外發現：OU 密碼策略影響「本地帳戶」

• 在 SVR1（隸屬一般使用者 OU）上重設本地帳戶 Tom 密碼為 4 碼 → 失敗。
• 重設為 6 碼 → 成功（符合一般使用者 OU GPO 設定的 6 碼）。
• 結論： OU 層級密碼策略僅對該 OU 內電腦的本地使用者帳戶生效，不影響網域使用者。

第二部分：正確部署 —— 細粒度密碼原則 (FGPP)

前置條件

• 權限：Domain Admins 成員
• 網域功能等級：Windows Server 2008 或以上
• 管理工具：Windows Server 2012 「Active Directory 管理中心」(ADAC)

部署步驟（Server 2012 ADAC 介面）

1. 開啟 ADAC（dsac.exe），確認網域功能等級滿足需求。
   
2. 建立測試帳戶：OU test 下建立 Aaron（加入 Domain Admins）、White（一般使用者）。
   
3. 在 ADAC 左側導航選擇「系統」→「密碼設定容器」。
4. 右鍵 → 「新增」→「密碼設定」，依精靈設定：
   • 名稱、優先順序（數字越小優先級越高）
   • 密碼複雜度、長度、存活期、歷史記錄等參數
   • 「直接套用至」：選擇目標使用者/群組（如 Domain Admins 群組或特定使用者）
5. 完成建立，系統自動生效（無需 gpupdate）。

Server 2008 與 2012 設定方式比較

關鍵觀念總結

• 網域預設密碼策略（Default Domain Policy）對所有網域使用者生效，不可被 OU GPO 覆蓋。
• FGPP (Password Settings Object, PSO) 可針對特定使用者/全域安全性群組套用不同密碼策略，優先順序由「優先順序」欄位決定。
• OU 層級密碼策略僅影響該 OU 內電腦的本地帳戶。
• FGPP 不支援針對 OU 直接套用，需透過群組成員資格間接實現（將目標使用者加入特定群組，再針對該群組套用 PSO）。